SULINFORMATICA Ransomware versucht doppelte Erpressung

Unsere Forscher stießen bei einer routinemäßigen Überprüfung neuer Dateieinsendungen auf SULINFORMATICA, eine Art Ransomware. Diese Schadsoftware wurde speziell dafür entwickelt, Daten zu verschlüsseln und für deren Entschlüsselung eine Bezahlung zu verlangen.

Beim Testen von SULINFORMATICA auf unserem Evaluierungssystem wurden die Dateien verschlüsselt und ihren Dateinamen die Erweiterung „.aes“ hinzugefügt. Beispielsweise wurde eine Datei mit dem ursprünglichen Namen „1.jpg“ in „1.jpg.aes“ umgewandelt, und „2.png“ wurde zu „2.png.aes“ usw.

Nach Abschluss des Verschlüsselungsprozesses wurde eine Lösegeldnachricht mit dem Namen „Instruction.txt“ generiert. Aus dem Text dieser Nachricht geht hervor, dass diese Ransomware in erster Linie auf Unternehmen und nicht auf einzelne Benutzer abzielt. Auch SULINFORMATICA verfolgt eine doppelte Erpressungsstrategie.

Der Lösegeldschein von SULINFORMATICA informiert das Opfer darüber, dass das Netzwerk seines Unternehmens kompromittiert wurde. Während des Angriffs wurden die Dateien des Opfers verschlüsselt. Die Nachricht versichert, dass eine vollständige Wiederherstellung durch Entschlüsselung möglich ist. Darüber hinaus wird gewarnt, dass wichtige Datenbanken, Dokumente und andere Dateien aus dem Netzwerk gestohlen wurden.

Dem Opfer wird dringend empfohlen, zeitnah Verhandlungen aufzunehmen. Gelingt es nicht, innerhalb von 24 Stunden Kontakt zu den Angreifern aufzunehmen, wirkt sich dies nachteilig auf den Verhandlungsprozess aus. Die Meldung deutet darauf hin, dass die Nichteinhaltung der Forderungen der Cyberkriminellen nicht nur zu einer dauerhaften Unzugänglichkeit der Dateien, sondern auch zur Offenlegung der gestohlenen Unternehmensdaten führen wird.

Vollständiger Lösegeldschein von SULINFORMATICA

Der vollständige Text der SULINFORMATICA-Lösegeldforderung lautet wie folgt:

Hello. I SULINFORMATICA. Your infrastructure has been hit and all files are encrypted. Be warned - this is complex multi-threaded encryption. All your files are intact, they will be fully accessible after decryption. All important files/documents/databases have been downloaded from your network. They are securely hidden and stored in order to further work with your company data. We suggest that you start negotiations to resolve the situation. You can get all the information on decryption at the contacts listed below. You can get all the information on the company's data and return it to you / or remove it from public access at the contacts listed below. We also inform you that every 24 hours delays will worsen the negotiating position. Contact us as soon as possible, we are ready to help and waiting for you. SULINFORMATICA@proton.me brazil-sulin@tutanota.com Or qTox messenger (available 24/7): (alphanumeric string)

Warum nutzen Ransomware-Angreifer doppelte Erpressung?

Ransomware-Akteure nutzen aus mehreren strategischen Gründen doppelte Erpressungstaktiken:

• Erhöhter Einfluss: Doppelte Erpressung verschafft Ransomware-Betreibern einen größeren Einfluss auf ihre Opfer. Zusätzlich zur Verschlüsselung der Daten des Opfers drohen sie auch damit, sensible oder vertrauliche Informationen an die Öffentlichkeit weiterzugeben, was möglicherweise dem Ruf, der finanziellen Stabilität oder der rechtlichen Stellung des Opfers erheblichen Schaden zufügt. Diese zusätzliche Bedrohung erhöht die Bereitschaft der Opfer, das Lösegeld schnell zu zahlen.
• Diversifizierung der Einnahmen: Durch den Diebstahl von Daten und die Forderung nach einer Zahlung nicht nur für die Entschlüsselung, sondern auch für die Geheimhaltung gestohlener Informationen können Ransomware-Akteure ihre Einnahmequellen diversifizieren. Dies ermöglicht es ihnen, Geld von Opfern zu erpressen, die vielleicht nicht bereit sind, ein Lösegeld für die Datenwiederherstellung zu zahlen, aber bereit sind zu zahlen, um die Offenlegung sensibler Daten zu verhindern.
• Erhöhter Druck: Doppelte Erpressung erzeugt zusätzlichen Druck auf die Opfer, den Forderungen der Angreifer nachzukommen. Den Opfern droht nicht nur der Verlust des Zugriffs auf ihre Daten, sondern auch die Folgen von Datenlecks, einschließlich möglicher rechtlicher und behördlicher Konsequenzen. Dieser zusätzliche Druck kann Opfer dazu veranlassen, schneller Entscheidungen über die Zahlung des Lösegelds zu treffen.
• Anpassung an Abwehrmaßnahmen: Während Unternehmen ihre Cybersicherheitsabwehr verbessern, suchen Ransomware-Akteure nach neuen Taktiken, um diese Hindernisse zu überwinden. Doppelte Erpressung ist eine solche Anpassung, da sie die Tatsache ausnutzt, dass selbst gut geschützte Organisationen möglicherweise nicht in der Lage sind, Datendiebstahl während eines Ransomware-Angriffs zu verhindern.
• Erhöhte Rentabilität: Doppelte Erpressungsangriffe können für Ransomware-Gruppen profitabler sein. Sie können einen höheren Lösegeldbetrag verlangen, da sie sowohl Entschlüsselungsschlüssel als auch die Garantie bieten, dass gestohlene Daten nicht preisgegeben werden. Dies führt möglicherweise zu höheren Auszahlungen seitens der Opfer.